1/7 Expediente Nº: E/06997/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad GEDESCO SERVICES SPAIN SAU en virtud de denuncia presentada por D. A.A.A.A y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 2 de septiembre de 2014, tuvo entrada en esta Agencia escrito de D. A.A.A.A (en lo sucesivo el denunciante) en el que manifiesta lo siguiente:
- GEDESCO SERVICES SPAIN SAU, en adelante GEDESCO, sistemáticamente correo electrónico no solicitado ofreciendo sus servicios. envía
- En todos los correos incluyen un enlace para darse de baja que han utilizado en tres ocasiones, el 13 de junio y el 6 y 25 de agosto, sin que hayan respondido a ninguna de las peticiones y a pesar de lo cual han vuelto a recibir una nueva comunicación comercial el 1 de septiembre de
- El escrito de denuncia se acompaña de copia de correos electrónicos promocionales recibidos los días 13 de junio y 6, 20 de agosto y 1 de septiembre de 2014 junto con sus cabeceras completas y de las solicitudes de baja remitidas los días 13 de junio, 6 y 25 de agosto de
- SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: “
- El denunciante aporta copia de correos electrónicos recibidos los días 13 de junio, 6 de y 20 de agosto y 1 de septiembre de 2014 en su cuenta de correo direccion@....... con origen en la cuenta ...@.... Los correos electrónicos contienen información comercial referente a servicios y productos de GEDESCO. Los correos electrónicos disponen de un enlace para solicitar la baja de la lista de destinatarios y en el pie de cada correo consta como dirección electrónica de baja bajas@......
- Las solicitudes de baja que aporta el denunciante, remitidas los días 13 de junio, 6 y 25 de agosto de 2014, tiene como destino la cuenta bajas@...... y como origen la cuenta ...@....
- El dominio gss.es está registrado a nombre de GLOBAL SOLUTION SYSTEM SL. El dominio gedesco.es está registrado a nombre de GEDESCO.
- El 13 de enero de 2015 se realiza una visita de inspección en la que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 constatan los siguientes hechos: 4.
- En los sistemas de la entidad constan registros de los correos electrónicos enviados al denunciante a la dirección direccion@....... los días 13 de junio, 6 de y 20 de agosto y 1 de septiembre de 2014 4.
- En relación con la cuenta remitente de los correos electrónicos comerciales, los representantes de GEDESCO, manifiestan que la entidad realiza envíos de comunicaciones comerciales tanto a través de infraestructura tecnológica propia como ajena y que el dominio gss.es puede pertenecer a una de las entidades contratadas para tal fin. 4.3 En el fichero de contactos existe un registro a nombre de INGELABS SL en el que consta la dirección direccion@....... y que en el momento de la inspección aparece marcado para no enviar publicidad. Consultados los sistemas de GEDESCO, el correo electrónico de INGELABS SL fue solicitado por uno de sus comerciales durante una conversación telefónica mantenida el 3 de enero de 2014 con el fin de poder remitir información comercial sobre sus productos y servicios a INGELABS. La entidad aporta documentación que acredita la realización de dos llamadas, los días 3 y 13 de enero de 2014, desde una línea de teléfono móvil de GEDESCO con destino a la línea de teléfono C.C.C., que es el que consta como teléfono de contacto en la página web de la entidad . 4.
- Los correos electrónicos recibidos en la cuenta bajas@...... no son tramitados uno a uno de forma manual sino que un proceso automatizado extrae de los correos electrónicos recibidos los datos de las solicitudes de baja para insertarlos en una tabla de la base de datos. Este proceso es ejecutado por personal del departamento de marketing una vez al día. Dos veces a la semana se ejecuta un proceso automatizado que, en base a los datos de la tabla de solicitudes, marca a los contactos coincidentes como bloqueados para el envío de comunicaciones comerciales. 4.
- En el caso que nos ocupa en la tabla de solicitudes de baja constan un total de 6 solicitudes de baja recibidas entre el 27 de enero y el 2 de septiembre de
- El caso es que como todas ellas tiene como origen la dirección ...@... el proceso automatizado que resuelve las solicitudes no encontró direcciones coincidentes y no bloqueó la dirección del denunciante, direccion@........ 4.
- Los representantes de la entidad sospechan que la petición de oposición fue realizada finalmente tras una petición telefónica.” FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 II En primer lugar, en relación con el origen de los datos y el consentimiento para el tratamiento de los mismos debemos señalar que, el artículo 6 de la LOPD relativo al consentimiento del afectado, dispone lo siguiente: “
- El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.
- No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de la Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El artículo 6 de la LOPD consagra el principio del consentimiento o autodeterminación, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto, el tratamiento de datos sin consentimiento del titular, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho, pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personal. El Tribunal Constitucional, en su Sentencia 292/2000, de 30 de noviembre (Fundamento Jurídico 7), se refiere al contenido esencial de este derecho fundamental y expone que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” En el caso que nos ocupa, en el marco de las actuaciones de investigación llevadas a cabo por esta Agencia, la entidad denunciada, GEDESCO SERVICES SPAIN SAU, manifiesta que se pusieron en contacto telefónico con la empresa del denunciante (INGELABS) y que en dicha llamada les fue facilitado el correo electrónico de INGELABS S.L (direccion@.......), así como el consentimiento para el envío de información comercial sobre sus productos y servicios (en concreto sobre factoring). A este respecto señalar que, del análisis de la documentación aportada por GEDESCO SERVICES SPAIN SAU, esta Agencia ha constatado la realización de dos llamadas (los días 3 y 13 de enero de 2014) desde una línea de telefonía móvil de GEDESCO con destino a la línea de teléfono que consta como teléfono de contacto en la página web de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 la empresa del denunciante (INGELABS), además de haberse constatado que el correo electrónico del denunciante (direccion@.......) en el que recibió las comunicaciones comerciales, está registrado en los ficheros de la entidad denunciada, lo que refuerza la argumentación esgrimida por GEDESCO, dando una apariencia de veracidad a la misma. Así pues, sobre la base de expuesto debemos concluir que, no se han aportado indicios razonables de los que se deduzca un tratamiento de datos sin consentimiento por parte de GEDESCO, rigiendo en este caso el principio de presunción de inocencia que impide imputar una infracción administrativa cuando no se haya obtenido y comprobado la existencia de una prueba de cargo acreditativa de los hechos que motivan esta imputación. A este respecto se ha pronunciado la Audiencia Nacional en la Sentencia de fecha 5 de febrero de 2013 (Rec. 468/2011) que, en un caso similar al que nos ocupa señalaba lo siguiente: “CUARTO: Se trata en definitiva de resolver en el procedimiento, de conformidad con la normativa y doctrina expuestas en el fundamento jurídico segundo, si el envío del correo electrónico de contenido publicitario por parte de Green Tal al denunciante, había sido solicitado o al menos previamente autorizado por tal receptor. Si bien es cierto que dicho consentimiento previo se niega por el destinatario del e-mail comercial, también lo es que en esta materia, al igual que en resto de las que integran el derecho administrativo sancionador, y tal y como argumenta Green Tal en la demanda, rige el principio de presunción de inocencia constitucionalmente consagrado en el artículo 24.2 CE. Así, constituye doctrina consolidada del Tribunal constitucional (SSTC 131/2033, de 30 de junio, y 245/205, de 10 de octubre) que una de las exigencias inherentes al derecho a la presunción de inocencia, es que la sanción ha de estar fundamentada en actos o medios probatorios de cargo o incriminadores de la conducta imputada, y que recae sobre la Administración pública actuante la carga probatoria tanto de la comisión del ilícito como de la participación del denunciado. Pronunciándose en igual sentido la Jurisprudencia del Tribunal Supremo (STS 23/11/2004 (Rec. 207/2001) por todas), que hace mención a la necesidad de que en derecho administrativo sancionador exista una prueba plena de la culpabilidad, de tal forma que la presunción de inocencia prime en todas aquellas situaciones en las que se plantee la duda sobre la posible responsabilidad del sometido a procedimiento. Aplicando dicha doctrina al supuesto de autos y por las consideraciones que se acaban de exponer, esta Sala disiente de la fundamentación de la resolución combatida. Consideramos, en cambio, que sí ha quedado probada en las actuaciones la versión de que de los hechos acontecidos efectúa la entidad actora, tanto durante la tramitación del expediente administrativo, como asimismo en la demanda, pues tal descripción de antecedentes así se desprende, no sólo de la impresión de pantalla, altamente elocuente, que figura en el folio 33 del expediente administrativo, sino de relacionar dicho documento con la prueba testifical dela empleada de la actora que se relacionó con el denunciante, que también figura en el expediente y además ha sido practicada en el correspondiente periodo probatorio. Repárese asimismo en que dicho afectado es propietario de una empr4sa que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 presta servicios informáticos, entre ellos soluciones antispam y de protección de correos electrónicos de los clientes (documento 1 de la demanda). Tal material probatorio dota de verosimilitud a la cronología de antecedentes fácticos efectuada por la entidad recurrente en el sentido de que el repetido denunciante, previamente al envío del correo electrónico de promoción de los productos de la empresa, contactó telefónicamente con tal empleada de Green Tal, solicitando el envío de información comercial. Así, dadas las específicas circunstancias concurrentes y la relación de hechos que ha quedado probada a través de las pruebas documentales y testificales que se acaban de exponer, esta Sala concluye que resulta acreditado que sí hubo previa autorización para el envío del tantas veces aludido e-mail, por lo que no procede imposición de sanción alguna a la compañía recurrente, con anulación de la resolución de la AEPD aquí impugnada.” III Por otro lado, en relación con el envío de comunicaciones comerciales por vía electrónica, el artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (en lo sucesivo LSSI), modificado por la Ley 9/2014 de 9 de mayo, General de Telecomunicaciones, señala lo siguiente: “
- Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas.
- Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Añade el artículo 22.1, que “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos”. A su vez procede señalar que, la Ley Orgánica 15/1999, de 13 de diciembre de Protección de Datos de Carácter Personal (LOPD) en su artículo 30.4 dispone que: “los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud”. En el caso que nos ocupa debemos destacar que, en las comunicaciones comerciales remitidas por GEDESCO se facilita un enlace y una dirección de correo electrónico para darse de baja (dando así cumplimiento a lo establecido en el artículo 22.1 de la LSSI). El denunciante manifiesta que, a pesar de haber solicitado la baja en tres ocasiones (a través de la dirección de correo electrónico facilitada), su solicitud no fue atendida, habiendo recibido con posterioridad una nueva comunicación comercial por parte de GEDESCO. A este respecto debemos señalar que, se ha constatado el envío de 6 solicitudes de baja a GEDESCO (entre el 27 de enero y el 2 de septiembre de 2014). No obstante lo anterior, en el transcurso de las actuaciones de inspección llevadas a cabo por esta Agencia, se ha constatado que las citadas solicitudes de baja tienen como origen la dirección ...@... y no la dirección del denunciante direccion@......., que es la que figura en la base de datos de GEDESCO. De hecho, la citada entidad ha manifestado que los correos electrónicos recibidos en la cuenta bajas@...... no son tramitados uno a uno de forma manual, sino que se trata de un proceso automatizado y que en el caso que nos ocupa, el citado proceso automatizado que resuelve las solicitudes, no encontró direcciones coincidentes con ...@... y por tanto no bloqueó la dirección del denunciante direccion@........ No obstante lo anterior debemos indicar que, en las actuaciones de inspección llevadas a cabo por esta Agencia ante la entidad denunciada, GEDESCO, se ha constatado la existencia de un registro correspondiente a la entidad INGELABS S.L, con la dirección de correo electrónico del denunciante direccion@....... en donde consta marcada la casilla “no desea publicidad”, de lo que se infiere, tal y como así manifiestan los representantes de la entidad denunciada, que la petición de oposición al envío de comunicaciones comerciales fue finalmente realizada tras una petición telefónica, lo que conlleva el cese en el envío de las citadas comunicaciones. IV Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
- PROCEDER AL ARCHIVO de las presentes actuaciones.
- NOTIFICAR la presente Resolución a GEDESCO SERVICES SPAIN SAU y a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es